技能 gcp-cloud-run
📦
gcp-cloud-run
内容修订 r2 高风险 ⚙️ 外部命令🌐 网络访问📁 文件系统访问🔑 环境变量
部署 GCP Cloud Run 服务
Cloud Run 设置需要可重复的服务、函数和性能模式。此技能指导 Claude、Codex 和 Claude Code 完成部署、事件处理和调优。
支持: Claude Codex Code(CC)
安装前请停下并请求确认。
请审查安装计划，并在更改文件前获得用户明确同意。
使用我的智能体安装
将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。
智能体请求
Review the Skillstore skill "gcp-cloud-run" from https://skillstore.io/skills/sickn33-gcp-cloud-run.md and its manifest at https://skillstore.io/api/skills/sickn33-gcp-cloud-run/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.你的智能体仍应展示其计划，并按安全策略请求必要确认。
Agent 可读资源
当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。
测试它
正在使用“gcp-cloud-run”。 我需要在 Cloud Run 上部署一个公共 API。
预期结果:
- 包含容器镜像要求的服务结构。
- 涵盖区域、内存、CPU、IAM 和未认证访问审核的部署检查清单。
- 关于健康检查、扩缩容和关闭流程的运维说明。
正在使用“gcp-cloud-run”。 我的函数处理 Pub/Sub 事件。
预期结果:
- 包含消息解码和验证步骤的事件处理程序设计。
- 关于触发器、区域、重试和日志记录的部署指导。
- 关于载荷大小、敏感数据和幂等处理的警告。
正在使用“gcp-cloud-run”。 我的 Cloud Run 服务启动太慢。
预期结果:
- 涵盖镜像大小、依赖加载、CPU boost 和 minimum instances 的冷启动审查。
- 更高内存、CPU 和预热容量带来的成本与延迟权衡。
- 针对连接复用和启动可观测性的后续检查。
安全审计
高风险v5 • 2026/7/23 打开版本化报告
All 164 static matches are false positives caused by Markdown fences, illustrative template literals, and benign cloud configuration examples. Three semantic risks remain in the examples: unauthenticated Pub/Sub processing, callback URL SSRF, and reflected HTML injection.
1
已扫描文件
1,384
分析行数
0
复核项
0
已忽略误报
已确认安全问题 (3)
高
Unauthenticated Pub/Sub Message Processing
The push handler treats message shape as verification but validates no OIDC token, audience, issuer, or service account. A public endpoint could accept forged events.
The subscription example configures no authenticated push identity, and the handler checks only for a message field before processing.
高
User-Controlled Callback URL Enables SSRF
The endpoint accepts callback_url from request data and posts processing results without validating scheme, host, or resolved IP. Attackers could target internal services.
The caller directly controls the URL passed to httpx, and no allowlist or network-range validation appears before the outbound request.
中
Reflected HTML Injection in HTTP Example
The HTTP function inserts a query or body value into res.send without escaping it. Express can treat string responses as HTML and render attacker input.
The source and response sink are adjacent and contain no output encoding or explicit plain-text content type.
风险因素
⚙️ 外部命令 (50)
SKILL.md:36-59 SKILL.md:59-61 SKILL.md:61-95 SKILL.md:95-97 SKILL.md:97-99 SKILL.md:99-130 SKILL.md:130-163 SKILL.md:163-170 SKILL.md:170-172 SKILL.md:172-174 SKILL.md:174-190 SKILL.md:190-192 SKILL.md:192-199 SKILL.md:199-200 SKILL.md:200-201 SKILL.md:201-207 SKILL.md:207-209 SKILL.md:209-232 SKILL.md:232-242 SKILL.md:242-246 SKILL.md:246-250 SKILL.md:250-254 SKILL.md:254-258 SKILL.md:258-270 SKILL.md:270-274 SKILL.md:274-292 SKILL.md:292-296 SKILL.md:296-302 SKILL.md:302-319 SKILL.md:319-337 SKILL.md:337-341 SKILL.md:341-359 SKILL.md:359-363 SKILL.md:363-372 SKILL.md:372-374 SKILL.md:374-382 SKILL.md:382-399 SKILL.md:399-408 SKILL.md:408-410 SKILL.md:410-441 SKILL.md:441-445 SKILL.md:445-461 SKILL.md:461-464 SKILL.md:464-468 SKILL.md:468-476 SKILL.md:476-484 SKILL.md:484-491 SKILL.md:491-493 SKILL.md:493-502 SKILL.md:502-517
审计者: codex 查看审计历史 →
分享与引用此报告
分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。
复制报告链接
https://skillstore.io/skills/sickn33-gcp-cloud-run/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 徽章
[](https://skillstore.io/skills/sickn33-gcp-cloud-run?utm_source=security_passport_badge)HTML 徽章
<a href="https://skillstore.io/skills/sickn33-gcp-cloud-run?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-gcp-cloud-run/security.svg" alt="Skillstore security assessment" loading="lazy"></a>嵌入卡片
<iframe src="https://skillstore.io/embed/skills/sickn33-gcp-cloud-run.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学术引用 (APA · BibTeX · CFF)
APA 引用
sickn33. (2026). gcp-cloud-run security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/sickn33-gcp-cloud-run/audits/5BibTeX 引用
@techreport{sickn33-sickn33-gcp-cloud-run-2026,
author = {sickn33},
title = {gcp-cloud-run security audit report (audit version 5)},
institution = {Skillstore},
year = {2026},
number = {5},
url = {https://skillstore.io/skills/sickn33-gcp-cloud-run/audits/5},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "gcp-cloud-run security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
- name: "sickn33"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/sickn33-gcp-cloud-run/audits/5"
identifiers:
- type: other
value: "skillstore:sickn33-gcp-cloud-run:audit:5"
description: "Skillstore immutable audit report identifier"
Skillstore 评分
评分依据 证据置信度: 中 55
架构
85
可维护性
87
内容
69
社区
70
规范符合性
你能构建什么
启动容器 API
创建 Cloud Run 服务方案，包含容器构建步骤、健康检查、扩缩容设置和部署说明。
构建事件函数
为 HTTP、Pub/Sub 或 Cloud Storage 事件设计 Cloud Run Functions，并提供部署和触发器指导。
减少冷启动
审查启动延迟，并应用 CPU boost、minimum instances、镜像优化和 lazy loading 模式。
试试这些提示
创建基础 Cloud Run 服务
使用 gcp-cloud-run skill 概述一个 Node.js Cloud Run 服务，包含 Dockerfile、health check、Cloud Build 步骤和安全的 IAM 默认设置。
添加事件函数
使用此技能设计一个用于 Pub/Sub 消息的 Cloud Run Function。包括验证、重试行为、日志限制和部署说明。
优化冷启动
使用此技能审查我的 Cloud Run 服务的冷启动。推荐 CPU boost、minimum instances、镜像更改、lazy loading 和成本权衡。
规划生产发布
使用此技能创建生产环境 Cloud Run 发布计划。涵盖 IAM、入口、并发、超时、内存、可观测性和回滚步骤。
最佳实践
- 在应用任何部署命令之前审核 IAM 和入口设置。
- 根据负载测试而非默认值设置内存、CPU、并发和超时。
- 记录元数据和请求 ID，而不是原始载荷。
避免
- 除非服务是预期的公共端点，否则不要将服务设为未认证访问。
- 不要在 Cloud Run 的内存型存储中存储大型临时文件。
- 不要在请求生命周期结束后执行长时间的后台工作。
常见问题
此技能会自动部署资源吗？
不会。它提供指导和示例命令，用户或代理必须在运行前进行审核。
它涵盖哪些 GCP 服务？
它涵盖 Cloud Run 服务、Cloud Run Functions、Cloud Build 部署、Pub/Sub 事件和 Cloud Storage 触发器。
它能帮助处理冷启动吗？
可以。它涵盖 CPU boost、minimum instances、镜像大小、内存设置和 lazy initialization。
它支持非 Node.js 运行时吗？
示例侧重于 Node.js。相同的 Cloud Run 概念可以适配到其他运行时。
是否总是需要公共访问？
不需要。公共访问只应在 IAM 和入口审核后，为公共 API 或 webhook 启用。
它能替代 GCP 文档吗？
不能。请使用官方 GCP 文档了解当前的标志、限制、价格和组织策略要求。